Connect with us

Entwicklung & Code

Cyber Resilience Act: Initiative der Eclipse Foundation hilft bei Compliance


Die Eclipse Foundation hat den Start des OCCTET-Projekts bekannt gegeben: Hinter dem Namen „Open Source Compliance: Comprehensive Techniques and Essential Tools“ verbirgt sich eine von der Europäischen Kommission finanzierte Initiative zum Thema Cyber Resilience Act (CRA). Sie bringt ein Konsortium aus Industriegrößen, Cybersecurity-Experten und Open-Source-Vertretern zusammen – mit dem Ziel, kleinen und mittleren Unternehmen (KMU) sowie Entwicklerinnen und Entwicklern die Compliance ihrer Open-Source-Software (OSS) mit dem CRA zu vereinfachen. Dazu stellt sie ein Toolkit an Ressourcen zur Verfügung.

Wie Mike Milinkovich, Executive Director der Eclipse Foundation, in der OCCTET-Ankündigung betont, ist die Compliance mit dem CRA eine mehrjährige Reise, die Unternehmen jetzt priorisieren müssen. Doch selbst solchen, die die Dringlichkeit verstehen, mangele es häufig an in-House-Expertise.

Dort setzt die neue Initiative an: Das bald erscheinende OCCTET Toolkit soll umfassende Ressourcen bereitstellen, die sich speziell an KMU richten. Dazu zählen unter anderem eine CRA-Compliance-Checkliste, Konformitäts-Assessment-Spezifikationen, automatisierte Evaluierung von Methoden und Tools und eine föderierte Datenbankplattform, um OSS-Komponenten-Assessments zu veröffentlichen und Beiträge mehrerer Stakeholder zu ermöglichen. Weiterführende Details zu den Inhalten des Toolkits liefert die OCCTET-Website, und zusätzlich ist eine Mailingliste verfügbar.


Grafik mit IIoT-Symbolen

Grafik mit IIoT-Symbolen

(Bild: Brigitte Pica2/Shutterstock)

Am 23. und 24. September feiert die Beyond IoT ihre Premiere in Köln. Die von iX und dpunkt.verlag ausgerichtete Konferenz für IIoT und Digitalisierung bringt Vorträge zu Themen wie CRA, Zeitreihenanalyse, UNS und Web of Things.

OCCTET ist nicht die einzige Initiative der Eclipse Foundation in Bezug auf den CRA. Auch die Open Source Regulatory Compliance Working Group (ORC Working Group) bietet nun erste Ressourcen an, um die CRA-Implementierung und -Compliance zu unterstützen. Zudem hat die Working Group einen Zuwachs vorzuweisen: Als strategische Mitglieder sind jetzt Microsoft und Red Hat mit an Bord, als weitere Mitglieder Google, exkide und Open Source Matters.

Die ORC Working Group besteht seit September 2024 und soll insbesondere vor dem Hintergrund des Cyber Resilience Act die Relevanz und Compliance von Open-Source-Software sicherstellen. Sie steht unter der anbieterneutralen Verwaltung der Eclipse Foundation, der größten Open-Source-Foundation in Europa, und profitiert von ihrem offiziellen Verbindungsstatus mit dem Europäischen Komitee für Normung (CEN) und dem Europäischen Komitee für elektrotechnische Normung (CENELEC) sowie ihrer aktiven Partizipation am Europäischen Institut für Telekommunikationsnormen (ETSI) und an der CRA-Expertengruppe der Europäischen Kommission.

Bereits zum Start der Arbeitsgruppe erhielt die Eclipse Foundation Unterstützung von Industriegrößen wie Bosch, Mercedes-Benz und Siemens sowie von anderen Open-Source-Stiftungen und kann inzwischen über 50 Mitglieder vorweisen – darunter rund 20 Open-Source-Stiftungen. Wie Milinkovich im Gespräch mit heise Developer betont, sei eine solche Zusammenarbeit von zahlreichen Open-Source-Stiftungen wohl einzigartig. Nun trägt die ORC Working Group die ersten Früchte, die zur Community-Review bereit sind.

Auf GitHub hat die Working Group ein Inventar an Ressourcen öffentlich gestellt, die für das Entwickeln und Verwenden von Open-Source-Software gemäß dem Cyber Resilience Act relevant sind. Das Dokument skizziert unter anderem die Prinzipien von Security-Resilienz im Sinne des CRA und behandelt Themen wie generische Sicherheitsanforderungen, Vulnerability-Management und Software Bills of Materials (SBOMs). Das Dokument hebt hervor, dass es sich um einen Entwurf handelt, der jederzeit aktualisiert, ersetzt oder für obsolet erklärt werden könnte – auch beim Zitieren daraus ist daher darauf zu achten, dass es sich um ein „Work in Progress“ handelt.

Schon im Herbst 2023 sprach heise Developer mit Mike Milinkovich über den CRA – der damals die Welt der Open-Source-Software in Atem hielt, da er dramatische Auswirkungen darauf hätte haben können. Der CRA hat seit den ersten Entwürfen bis zur finalen Version dahingehend Änderungen durchlaufen: Verantwortlich für die Compliance sind nun nicht die Open-Source-Projekte, die im kommerziellen Umfeld genutzt werden, sondern die Unternehmen, die diese Software verwenden. Die Änderungen gehen nicht zuletzt auf Bemühungen von Open-Source-Organisationen wie der Eclipse Foundation und ihrer Stakeholder in der Industrie zurück. Wie Mike Milinkovich in einem erneuten Gespräch mit heise Developer sagt, sei dies das erste Mal, dass irgendwo auf der Welt bei einem Gesetz eine neue Form des ökonomischen Akteurs namens „Open Source Software Steward“ berücksichtigt wurde.

Im Grunde genommen sei der Cyber Resilience Act eine gute Sache, so Milinkovich: Der Zweck des CRA sei es, die Cybersicherheit von Produkten, die an Konsumenten und Unternehmen in Europa verkauft werden, zu verbessern – und es gebe zu viele Beispiele von Produkten, die in ihrem Design und ihrer Implementierung, aber auch in Bezug auf den Support über den Lebenszyklus des Produkts hinweg, keine guten Industriestandards für Cybersicherheit erfüllt hätten. Jedoch bringe die Komplexität der Implementierung einen Kulturschock, denn die drei Jahre dauernde Implementierungsphase zwischen Dezember 2024 und Dezember 2027 werde blitzschnell – „in the blink of an eye“ – vergehen.


(mai)



Source link

Entwicklung & Code

DeepSeek senkt API-Preise um 50 Prozent und stellt V3.2-Exp vor


Das chinesische KI-Start-up DeepSeek hat mit V3.2-Exp eine experimentelle Version seines Sprachmodells veröffentlicht und gleichzeitig die Preise für seine API-Dienste um mehr als 50 Prozent gesenkt. Wie das Unternehmen auf seiner Hugging-Face-Seite mitteilte, markiert die neue Version einen Zwischenschritt zur nächsten Generation der KI-Architektur.

Das erst im Jahr 2023 gegründete Unternehmen, das Anfang des Jahres mit seinem R1-Modell für Aufsehen im Silicon Valley gesorgt hatte, arbeitet nach eigenen Angaben mit chinesischen Chipherstellern an der Weiterentwicklung seiner Modelle. Die neue Version V3.2-Exp baut auf dem älteren V3.1-Modell auf und führt eine neue Technik namens DeepSeek Sparse Attention (DSA) ein.

Die Sparse-Attention-Technologie soll die Effizienz bei der Verarbeitung langer Textsequenzen verbessern. Während herkömmliche Attention-Mechanismen bei großen Sprachmodellen alle Tokens gleichzeitig berücksichtigen, konzentriert sich DSA nur auf die relevantesten Bereiche des Inputs. Dies reduziert den Rechenaufwand laut DeepSeek erheblich, ohne die Qualität der Ausgabe wesentlich zu beeinträchtigen.

Parallel zur Modellveröffentlichung kündigte DeepSeek eine drastische Preissenkung für seine API-Dienste um mehr als 50 Prozent an. Die neuen Tarife gelten sofort und sollen dem Unternehmen helfen, mehr Nutzer zu gewinnen. Zum Vergleich bleibt das bisherige V3.1-Terminus-Modell bis zum 15. Oktober 2025 über eine temporäre API verfügbar.

Huawei, der führende Anbieter von KI-Chips in China, kündigte an, dass seine Produkte das neueste DeepSeek-Modell unterstützen werden.

DeepSeek hat außerdem angegeben, dass die neuesten Versionen seiner Modelle mit simplen 8-Bit-Gleitkommawerten (Floating Point 8, FP8) umgehen kann, während an der Implementierung von BF16 (Brain Floating Point 16) gearbeitet wird. FP8 ermöglicht theoretisch Speichereinsparungen und schnellere Berechnungen, da es weniger Speicherplatz benötigt und die Matrizen vergleichsweise simpel sind. Obwohl FP8 weniger präzise ist als klassische Formate wie FP32, gilt es für KI-Anwendungen als ausreichend genau.

BF16 hingegen stellt einen Kompromiss zwischen Geschwindigkeit und Präzision dar. Die Unterstützung beider Formate soll es ermöglichen, große Modelle auch auf Hardware mit begrenzten Ressourcen zu betreiben.

Mit der Preissenkung um mehr als 50 Prozent positioniert sich DeepSeek aggressiv im umkämpften KI-API-Markt. Das Unternehmen reiht sich damit in eine Reihe chinesischer Start-ups ein, die durch niedrige Preise Marktanteile gewinnen wollen. Input-Token kosten bei DeepSeek künftig 0,28 US-Dollar pro Million Token statt bislang 0,56 US-Dollar. Mit Cache sinkt der Preis sogar auf 0,028 US-Dollar. Eine Million Output-Token kosten 0,42 US-Dollar. Vorbehalte gegenüber chinesischen Modellen gibt es beim Datenschutz und der staatlichen Zensur Chinas.


(mki)



Source link

Weiterlesen

Entwicklung & Code

PHP 8.5 setzt auf Lesbarkeit, Debugging-Features und mehr Sicherheit


Am 20. November 2025 soll PHP 8.5 offiziell erscheinen – jetzt liegt der erste Release Candidate vor. Die kommende Version konzentriert sich auf Verbesserungen bei der Lesbarkeit von Code, neuen Utility-Funktionen, erweiterten Debugging-Möglichkeiten sowie Detailverbesserungen in der Performance und Sicherheit.

PHP 8.5 führt den neuen Pipe-Operator |> ein. Entwicklerinnen und Entwickler können damit Funktionsaufrufe linear verketten, anstatt verschachtelte Strukturen zu schreiben. Das Beispiel aus dem RFC soll dies verdeutlichen:


function getUsers(): array {
    return [
        new User('root', isAdmin: true),
        new User('john.doe', isAdmin: false),
    ];
}
 
function isAdmin(User $user): bool {
    return $user->isAdmin;
}
 
// This is the new syntax.
$numberOfAdmins = getUsers()
    |> (fn ($list) => array_filter($list, isAdmin(...))) 
    |> count(...);
 
var_dump($numberOfAdmins); // int(1);


Mit array_first() und array_last() holen Developer den ersten oder letzten Wert eines Arrays, ohne den Array-Pointer zu verändern (siehe RFC):


function array_first(array $array): mixed {}
function array_last(array $array): mixed {}


Die neuen Funktionen get_error_handler() und get_exception_handler() geben direkten Einblick in die aktiven Handler. PHP liefert außerdem bei fatalen Fehlern nun vollständige Stack-Traces und blendet sensible Parameter automatisch aus, wenn sie mit #[\SensitiveParameter] markiert sind.

PHP 8.5 erlaubt es, im Rahmen der Constructor Property Promotion direkt Final Properties zu deklarieren (siehe RFC). Entwickler sparen damit Boilerplate-Code und definieren finale Properties genauso wie normale Properties im Constructor.

Das Attribut #[\NoDiscard] warnt, wenn wichtige Rückgabewerte ungenutzt bleiben. Zudem unterstützt PHP jetzt statische Closures in Konstanten, Default-Parametern und Attributen.

Die Funktion locale_is_right_to_left() erkennt Sprachen, die von rechts nach links gelesen werden. curl_multi_get_handles() vereinfacht das Management von cURL-Multi-Handles. Mit der Konstante PHP_BUILD_DATE und dem CLI-Befehl php --ini=diff will das Entwicklerteam hinter der Programmiersprache Debugging und Auditing vereinfachen.

iX sprach mit Volker Dusch, Release Manager zu PHP 8.5, der bestätigte: „Die Timeline ist eingehalten, alle Feature-RFCs sind eingebaut und wie immer gut getestet.“ Bei einer von 46 Deprecations habe es Anpassungsbedarf für das PHP-Framework Symfony gegeben, wofür ein Follow-up-RFC erstellt worden sei – ein normaler Vorgang. Substanzielle Änderungen habe es seit den Betas nicht mehr gegeben. „Es gibt keine signifikanten Breaking Changes. Deprecations sind lediglich Hinweise auf künftige Anpassungen,“ so Dusch.


betterCode() PHP am 25. November 2025

betterCode() PHP am 25. November 2025

(Bild: nuevoimg / 123rf.com)

Am 25. November findet die betterCode() PHP statt, eine Online-Konferenz von iX und dpunkt.verlag in Kooperation mit thePHP.cc. Interessierte können sich in Vorträgen und Diskussionsrunden über die Programmiersprache informieren. Vergünstigte Tickets zum Early-Bird-Tarif sind über die Konferenz-Website erhältlich.

PHP 8.5 bringt keine Revolution, aber viele durchdachte Verbesserungen. Von schlankerem Code mit dem Pipe-Operator, über sicherere Fehlerbehandlung bis hin zu neuen Debugging-Werkzeugen richtet sich der Fokus klar auf die Developer Experience. Weitere Informationen zum Release finden sich auf GitHub oder auf php.net.


(mdo)



Source link

Weiterlesen

Entwicklung & Code

Postgres 18: Dreimal schnellere asynchrone Abfragen und virtuelle Spalten


Die neue Version von Postgres 18 bringt eine Reihe von Verbesserungen der Performance und neue Funktionen wie den Zugriff auf alte Werte bei INSERT oder virtuelle Spalten für Abfragen. Für die sichere Authentifizierung bietet die Datenbank OAuth 2 und für das Passwort-Hashing wird SHA-256 verpflichtend.

Die wichtigste Neuerung für beschleunigte Abfragen ist das asynchrone IO-Subsystem (AIO), das „bis zu dreifache Performance-Verbesserungen beim Lesen aus dem Speicher bewiesen hat“, heißt es in der Ankündigung. AIO beschleunigt Read-ahead-Prozesse, für die die Datenbank entsprechende Mechanismen des jeweiligen Betriebssystems nutzt. Diese Mechanismen kennen nicht alle Spezifika einer Datenbank und können oft nicht richtig vorhersagen, welche Daten demnächst benötigt werden. AIO stellt nun mehrere parallele asynchrone Anfragen und beschleunigt so Read-ahead-Abfragen. AIO-Operationen umfassen sequenzielle und Bitmap-Heap-Scans sowie den VACUUM-Befehl.

Anwenderinnen und Anwender können in den Einstellungen für io_method zwischen AIO und dem alten synchronen System umschalten. Weitere Geschwindigkeitsgewinne ergeben sich durch Skip-Scan-Suchen bei mehrspaltigen B-tree-Indizes sowie durch eine verbesserte Ausführung von table joins und hash joins. Hardware-Beschleunigung gibt es nun für ARM NEON und SVE CPU.

Lesen Sie auch

Die automatischen Statistiken gehen ab Postgres 18 auch bei großen Updates nicht verloren, sodass die durch die Statistik aufgebauten Systemerkenntnisse erhalten bleiben. Das garantiert verbesserte Leistungswerte über ein Update hinaus.

Entwicklerinnen und Entwickler legen mit Postgres 18 nun virtuelle Spalten an, die Abfragen verarbeiten, ohne dass die Datenbank diese speichert. Das ist künftig die Standardoption. Auch gespeichert erzeugte Tabellen können Anwender künftig logisch replizieren.

Erfreuen wird viele Developer, dass sie bei den Befehlen INSERT, UPDATE, DELETE und MERGE nun auch Zugriff auf alte (OLD) Werte haben und nicht nur und neuen (NEW). Außerdem können sie zufällige UUIDs mit uuidv7() einsetzen, die sich über Zeitstempel sortieren und besseres Caching erlauben.

Ferner lassen sich entfernte Tabellen auf der Basis von lokalen Schemata einfach mit dem Befehl CREATE FOREIGN TABLE ... LIKE erzeugen.

Für die Authentifizierung von Anwendern unterstützt Postgres 18 OAuth 2. Weitere Sicherheitsfunktionen sind eine SSL-Validierung mit FIPS und ein Parameter ssl_tls13_ciphers für TLS 1.3. Außerdem ist MD 5 für das Passwort-Hashing veraltet und wird demnächst deaktiviert. Postgres erfordert jetzt SCRAM-SHA-256

Details und weitere Neuerungen finden sich in der Ankündigung und den Release Notes.


(who)



Source link

Weiterlesen

Beliebt